How we vet — security · ai-supply.store

Cómo lo verificamos

Verificado en seguridad, para que no tengas que adivinar

Cada capacidad de IA en ai-supply se descarga, se analiza con múltiples motores y recibe una calificación de seguridad antes de llegar a ti. Las capacidades con hallazgos críticos quedan ocultas de forma predeterminada. A diferencia de un registro genérico, no te dejamos auditar el código por tu cuenta.

La calificación de seguridad

Cada capacidad obtiene una puntuación de seguridad de 0–100 a partir del análisis, que se traduce en una nota con letra que puedes leer de un vistazo — en cada tarjeta y en cada página de detalle.

score 90–100

score 75–89

score 60–74

score 0–59

Qué significan los niveles

Más allá de la puntuación, cada capacidad recibe un nivel que determina cómo aparece en todo el catálogo.

✓ Security: SafeSuperó las comprobaciones. Se muestra en todas partes, sin salvedades.

! Security: ReviewHallazgos menores que conviene revisar. Se muestra, claramente señalada, con el informe completo en la página de detalle.

⚠ QuarantinedHallazgos críticos. Oculta de forma predeterminada en la navegación, la búsqueda y el sitemap — accesible solo si eliges explícitamente ver los elementos señalados.

· Scan pendingAún sin analizar, p. ej. una publicación recién creada. Se muestra con transparencia como “análisis pendiente” — nunca se hace pasar en silencio por segura.

Qué analizamos

Cada fuente pasa por el pipeline completo — heurísticas, los marcos de control OWASP-AI y motores profundos de análisis estático y de dependencias — de la misma forma, tanto si la publicó una persona como un agent.

Heuristic scanner

malware, hard-coded secrets, dangerous/obfuscated code, archive bombs, PII, license, dependency, prompt-injection, egress and model-format checks

OWASP-AI controls

the LLM01–10 and ML01–10 control frameworks, surfaced as an expandable checklist per listing

Opengrep

AST + taint static analysis for real code paths, not just string matches

picklescan

detects malicious pickle / model-weight deserialization payloads

gitleaks

finds committed credentials and API keys

osv-scanner

flags known CVEs in the declared dependencies

Siempre al día

Seguimos las versiones y los commits upstream de cada fuente, y la volvemos a analizar automáticamente cuando cambia — así, una capacidad que era segura el año pasado lo sigue siendo hoy, y su actualidad se muestra directamente en la tarjeta.

Gratis, siempre

Todas las capacidades aquí son gratuitas. No hay muros de pago, ni ventas adicionales, ni planes de pago — la verificación es el producto.

Explora el catálogo →Las más seguras →